Dans le but de lutter contre Echelon et l'espionnage numérique, l'Union européenne a décidé d'investir € 11 millions dans un projet de sécurité des communications à base de cryptographie quantique. Le projet d'une durée de 4 ans, inclut des universités, instituts de recherches et entreprises, au total 41 participants provenant de 12 pays différents (France).

NdM : on se rappelera que le rapport européen sur Echelon préconisait la crypto et en particulier les outils libres, mais que le 11 septembre est passé par là, modifiant la perception de la crypto.

"La licence GPL est avant tout une sorte de contrat entre le développeur et les utilisateurs" Renaud Deraison, la personne à l'origine du projet Nessus, revient dans cette interview sur le choix de la licence GPL pour le logiciel d'audit de vulnérabilités.

Il exprime également ses opinions sur des sujets comme :
- l'organisation du projet Nessus
- les futures fonctionnalités de Nessus 2.2,
- les logiciels développés par la société Tenable Network Security dont il est l'un des fondateurs avec Ron Gula.

A lire : Sa position sur le paysage de la sécurité en France et notamment la loi sur la confiance dans l'économie numérique.

NT craqué par Windows CE…Très drole…

NdM. : cette dépêche a été initialement publiée le 21/11/1999 à 09h23, perdue lors d'une migration du site, retrouvée et remise en ligne le 1er mai 2012 (les éventuels commentaires initiaux ont été perdus).

Security Remote Password est une alternative en Open Source à
l'authentification classique sur le réseau.
La version à télécharger sur le site inclut un FTP et un Telnet sécurisés.

NdM. : cette dépêche a été initialement publiée le 08/12/1999 à 09h29, perdue lors d'une migration du site, retrouvée et remise en ligne le 1er mai 2012 (les éventuels commentaires initiaux ont été perdus).

La Lyonnaise des Eaux avait un serveur Web Netscape très mal configuré.
Alors, ils l'ont viré et remplacé par un Apache.

NdM. : cette dépêche a été initialement publiée le 14/12/1999 à 18h33, perdue lors d'une migration du site, retrouvée et remise en ligne le 1er mai 2012 (les éventuels commentaires initiaux ont été perdus).

Un site très bien documenté sur "l'affaire Humpich" ou comment vous faire poursuivre en justice lorsque vous dévoilez les faiblesses d'un système ... Encore une victoire pour la politique par l'obscurantisme ... Reste à savoir comment se proteger des banques à present. Ca ne vous indigne pas vous ? PS: Vous croyez qu'ils vont refermer altern.org ? NdM. : cette dépêche a été initialement publiée le 01/02/2000 à 00h45, perdue lors d'une migration du site, retrouvée et remise en ligne le 1er mai 2012 (les éventuels commentaires initiaux ont été perdus).

Dans le cadre du Challenge Securitech 2004, concours de sécurité informatique organisé par des élèves de troisième année de l'Ecole Supérieure d'Informatique Electronique Automatique (ESIEA), une conférence de clôture a été organisée le 7 mai 2004.
Lors de cette conférence, Nicolas Brulez, responsable de la sécurité au sein de la société Sillicon Realms notamment éditeur du logiciel de système de protection Armadillo, est intervenu sur la résolution du troisième niveau de la catégorie Reverse Engeenering du concours, il est le créateur de ce niveau.
L'équipe du site Secuobs.com spécialisée dans la sécurité informatique a réalisé et mis en ligne un enregistrement audio de 30 minutes de cette intervention accompagné d'une interview de 3 pages en format html de Nicolas Brulez et du slide de présentation au même format utilisé lors de la conférence.

Dans le cadre du Challenge Securitech 2004, Pierre Betouin, organisateur, donna une conférence le 7 juin 2004 lors des réunions du groupe SWNT de l'OSSIR. Lors de celle ci, il a été abordé les détails techniques, logistiques et juridiques de l'organisation d'un concours de ce type ainsi que la résolution des niveaux, le monitoring, les problèmes rencontrés et les contraintes de sécurité. À voir également les insolites : résolution des niveaux de cryptographie avec un tableur !

Le site secuobs.com vous propose le choix entre une retranscription du flux vidéo ou la version audio de cette intervention qui dure 40 minutes. La vidéo est disponible au format MPEG4 (le son est en AAC) regardable avec mp4player/gmp4player (mpeg4ip), mplayer ainsi que les dernières versions de Quicktime (6). L'audio est au format Ogg Vorbis, mp3 et aac. Le tout est disponible en ligne (embed html) ou au format tar+gz en téléchargement.

La version 0.7.1 de NuFW est sortie la semaine dernière. NuFW est un parefeu authentifiant basé sur Netfilter.

Il permet de :
- réaliser un filtrage par utilisateur (même sur les machines multi-utilisateurs)
- définir la qualité de services par utilisateur
- suivre de l'activité des utilisateurs (utilisant syslog, MySQL ou PostgreSQL)

La version 0.7.1 introduit une nouvelle option qui permet de réaliser une table de suivi des connexions authentifiées en temps réel. Le stockage SQL de cette table permet de réaliser un système d'authentification unique centralisé.

Un module Apache, mod_auth_nufw, utilisant cette méthode pour réaliser l'authentification vient d'être publié en GPL. Il est donc désormais possible de s'authentifier de manière transparente sur un ensemble de serveurs Apache utilisant ce module.

Javascript serait une faille de sécurité, bref on apprend rien mais on
peut avoir plus de détails sur le lien qui suit.

NdM. : cette dépêche a été initialement publiée le 06/02/2000 à 23h52, perdue lors d'une migration du site, retrouvée et remise en ligne le 1er mai 2012 (les éventuels commentaires initiaux ont été perdus).

Je viens de recevoir un mail m'informant du fait que la cnil a autorisé l'Agence de Protection du Logiciel à consulter les fichiers des providers internet. Les abonnnés pourrait même, au travers de plugs in téléchargeables, être controllé en direct. Actuellement seuls AOL, Wanadoo et Compuserve ont communique les fichiers abonnés. Note du modérateur: cette rumeur avait déjà été démentie l'année dernière, voir leur communiqué de presse. NdM. : cette dépêche a été initialement publiée le 10/02/2000 à 10h28, perdue lors d'une migration du site, retrouvée et remise en ligne le 1er mai 2012 (les éventuels commentaires initiaux ont été perdus).

T.Rex est un firewall open source annoncé aujourd'hui par Freemont
Avenue Software. Le firewall est disponible sous licence LPL, une copie de
la licence QPL.

NdM. : cette dépêche a été initialement publiée le 11/02/2000 à 14h48, perdue lors d'une migration du site, retrouvée et remise en ligne le 1er mai 2012 (les éventuels commentaires initiaux ont été perdus).

L'organisation à but non lucratif CA-Cert a ouvert un Certificate Autority (autorité de certification) gratuit et accessible à tous.
Ils vous proposent :
- certificats de signatures numériques
- certificats pour serveurs

Le CA-Cert est dépendant du CERT Australien.

Le 23 juin 2004, lors de la conférence à Piscataway (N.J) le groupe de travail 802.11 de l'IEEE a homologué et certifié la norme de communication de réseau local sans-fils 802.11i.

Elle a pour seul but d'amener une réelle couche de sécurité au protocole 802.1x.

Avec l'utilisation de ce protocole dans nos réseaux non filaires GNU/Linux et BSD, nous devrions être en mesure de travailler réellement à la sécurité du réseau et non plus à contourner les faiblesses du protocole.
En effet, comment profiter d'une infrastructure fiable si le protocole est vérolé !

La France a décidé de réagir après la confirmation de l'existence
d'ECHELON (réseau informatisé international d'espionnage au profit des
américains, anglais et australiens qui captent toutes les conversations
téléphoniques, informatiques ….). Cette réaction est due à l'échec d'un
gros contrat d'AIRBUS au profit de BOEING (l'autre géant de Seattle).

NdM. : cette dépêche a été initialement publiée le 11/02/2000 à 11h09, perdue lors d'une migration du site, retrouvée et remise en ligne le 1er mai 2012 (les éventuels commentaires initiaux ont été perdus).

Des petits malins ont mis les derniers soft d'attaques utilisés pour paralyser Yahoo, CNN sur PackerStorm. Note du modérateur: est-ce exact ? NdM. : cette dépêche a été initialement publiée le 14/02/2000 à 17h20, perdue lors d'une migration du site, retrouvée et remise en ligne le 1er mai 2012 (les éventuels commentaires initiaux ont été perdus).

Une petite doc excellente du MIT sur l'utilisation de SSH est
disponible en ligne.
Il explique le tunnelling X11 ou ftp, bref à voir.

NdM. : cette dépêche a été initialement publiée le 16/02/2000 à 15h36, perdue lors d'une migration du site, retrouvée et remise en ligne le 1er mai 2012 (les éventuels commentaires initiaux ont été perdus).

Deux liens vers des documentations sur apache, ainsi que tripwire. Bref
de la lecture pour ce soir.

NdM. : cette dépêche a été initialement publiée le 29/02/2000 à 19h50, perdue lors d'une migration du site, retrouvée et remise en ligne le 1er mai 2012 (les éventuels commentaires initiaux ont été perdus).

Veridicom, société spécialisée dans les produits de sécurisation informatique par authentification digitale (NdM : digitale pour « avec les doigts », pas comme mauvaise traduction pour numérique), a annoncé ce jeudi 15 Juillet la sortie d'une suite logicielle pour les systèmes Linux (NdM²: GNU/Linux). Seuls seront supportés les noyaux et distributions suivants :

• Red Hat Enterprise Linux 3 Update2, noyau 2.4.21-15.EL
• Red Hat Enterprise Linux 3 , noyau 2.4.21-4.EL
• Red Hat 8.0, noyau 2.4.15
• Red Hat 7.3, noyau 2.4.5
• Slackware 9.1, noyau 2.4.22
• SUSE 8.1, noyau 2.4.19-4GB
• SUN SUSE 8.1, noyau 2.4.19-4GB/

Pour commencer, seules les sondes FPS200 seront gérées. Mais Veridicom assure qu'ils planifient le support de l'ensemble de leurs produits sous les systèmes Linux (NdM²: GNU/Linux) et prévoient le support du noyau 2.6 dans les mois qui viennent.

Le kit de développement (SDK) de Veridicom coûte 1700 $ et sera disponible le 1er août. Aucune information sur la licence de la partie logicielle du produit n'est mentionnée.

Zabbix est un outil relativement méconnu jusqu'ici, qui se propose de remplacer à la fois Nagios et MRTG. Il permet de suivre l'état complet d'un réseau (débits, etc.) et des systèmes le composant (utilisations processeur, disque, mémoire, processus, etc.) en proposant des graphiques personnalisables de chacune des caractéristiques surveillées et de déclencher des alertes sur des seuils personnalisables ou prédéfinis. Il est extrêmement configurable au travers d'une interface web.

Un nouveau type d'usurpation d'identité (étrangement dénommé phishing) apparaît avec XUL. Un site web peut fabriquer de toutes pièces une interface de navigation pour faire croire au visiteur qu'il est sur un autre site web.

Il s'agit d'un inquiétant problème de sécurité, apparemment non-résolu pour le moment.

Avec Gecko, un nouveau langage est apparu : le XUL. Ce langage permet la création d'applications complètes. Ainsi Mozilla peut servir de plate-forme pour lancer tout un tas d'applications écrites en XUL. Au premier rang de ces applications figure bien sûr le navigateur de Mozilla.

Mais voila, une nouvelle forme de « phishing » apparaît en même temps. En effet quand on fait pointer Gecko sur une URL « XUL », il lance l'application. Mais voila, que faire si la dite application simule une nouvelle fenêtre de navigation, avec l'URL de votre banque dans la barre d'adresse, un petit cadenas dans le coin, un vrai-faux certificat etc ... ?!

TripWire Inc., spécialiste de la sécurité, décide de passer dans le monde du logiciel libre. Cette décision devrait permettre de développer la sécurité sous Linux (notamment pour la lutte contre les attaques DDoS). NdM. : cette dépêche a été initialement publiée le 01/03/2000 à 04h27, perdue lors d'une migration du site, retrouvée et remise en ligne le 1er mai 2012 (les éventuels commentaires initiaux ont été perdus).

Roland Moreno, l'inventeur de la carte à puce, a annoncé lundi qu'il
offrait un million de francs à qui réussirait à violer une carte à puce
existante tout en reconnaissant qu'on peut fabriquer de fausses cartes
bancaires utilisables dans certains terminaux de paiement.
(source AFP)

NdM. : cette dépêche a été initialement publiée le 13/03/2000 à 19h08, perdue lors d'une migration du site, retrouvée et remise en ligne le 1er mai 2012 (les éventuels commentaires initiaux ont été perdus).

Nouveau site pour Openca.org ! OpenCa est une PKI en open source,
offrant tout les services attendus pour l'administration, l'enregistrement,
la gestion des certificats, et l'autorité de certification, le tout depuis
un navigateur web. Produit indispensable pour les administrateur sécurité.

NdM. : cette dépêche a été initialement publiée le 16/03/2000 à 16h53, perdue lors d'une migration du site, retrouvée et remise en ligne le 1er mai 2012 (les éventuels commentaires initiaux ont été perdus).

Un article sur multimedium qui indique que Nicolas Sadirac aurait un
peu tapé du poing sur la table lors d'une table ronde de spécialistes de la
sécurité des réseaux (rien que ca).
Ca tape sec :)

NdM. : cette dépêche a été initialement publiée le 17/03/2000 à 19h26, perdue lors d'une migration du site, retrouvée et remise en ligne le 1er mai 2012 (les éventuels commentaires initiaux ont été perdus).